Cisco FMC CVE-2026-20316: атаки та виправлені версії

Оновлено 20 вересня 2026 року. У бюлетенях від 16 вересня Cisco замінила таблиці попередніх hotfix повноцінними випусками з посиленим захистом. Talos також описала три групи вторгнень: в одному випадку статичні облікові дані відкрили шлях до внутрішніх систем і шифрувальника Qilin. Перевірте CVE-2026-20316 та CVE-2026-20079 окремо: установлення виправленої версії не замінює розслідування можливої компрометації. [1] [3] [4]

Cisco підтвердила активну експлуатацію CVE-2026-20316 — статичних облікових даних у локальному Secure Firewall Management Center (FMC). Вони дають віддаленому неавторизованому зловмиснику доступ до облікового запису з низькими привілеями та чутливих даних. Оскільки цей доступ можна поєднати з іншими вразливостями FMC, адміністраторам потрібно встановити відповідний виправлений реліз та перевірити журнал на підтверджену ознаку /var/tmp/license.tmp.

Cisco опублікувала бюлетень 29 липня 2026 року. Того ж дня CISA додала CVE до каталогу Known Exploited Vulnerabilities і встановила 1 серпня як строк виправлення для охоплених федеральних установ США. [2] Базова оцінка CVSS становить 5,3, однак Cisco класифікує вразливість як High через активну експлуатацію та можливість підвищення привілеїв за допомогою окремої вразливості FMC.

Які продукти уражені CVE-2026-20316

• Локальний Cisco Secure FMC Software: Уражений незалежно від конфігурації. Оновіть пристрій до виправленого релізу своєї гілки.
• Cloud-Delivered FMC (cdFMC): Підтверджено не уражений.
• Firewall Device Manager (FDM): Підтверджено не уражений.
• Secure Firewall ASA та FTD Software: Не уражені цією CVE. Оновлення ASA або FTD не замінює оновлення для FMC.
• Security Cloud Control (SCC): Підтверджено не уражений.

Відсутність публічного доступу до інтерфейсу керування зменшує поверхню атаки, але не прибирає статичні облікові дані і не замінює оновлення. Ризик зберігається для внутрішнього доступу, відкритих адміністративних мереж і вже скомпрометованих хостів.

Що Talos виявила після проникнення у FMC

CVE-2026-20079 — окремий обхід автентифікації, що дозволяє неавторизованому зловмиснику отримати root через виконання скриптів. CVE-2026-20316 відкриває обліковий запис з обмеженими правами; подальші дії потрібно оцінювати окремо. [4]

Дослідження Talos від 9 вересня описує окремі операції, а не єдиний ланцюжок усіх атак. UAT-12197 використала обхід автентифікації, встановила вебшел і через Java-інструмент виконання команд отримала облікові дані з внутрішніх баз.

UAT-11823 використала обидві вразливості та встановила Cyclops Blink. Talos відзначає перетин інструментарію із Sandworm. Легітимна утиліта package_info.pl обробила шкідливий пакет license.tmp з правами root; атакувальники також зібрали конфігурації керованих пристроїв.

UAT-11988 увійшла зі статичними обліковими даними, дослідила внутрішню мережу та викрала облікові дані. SOCKS5 і зворотні SSH-тунелі розширили доступ із FMC до внутрішніх служб, після чого Qilin зашифрував вибрані кінцеві системи. Так доступ з обмеженими правами до консолі керування перетворився на ширший інцидент. [3]

Актуальні виправлені версії FMC

Таблиці Cisco від 16 вересня вказують наведені нижче перші виправлені релізи для обох вразливостей. Вони замінили попередні hotfix і містять додатковий захист. Виберіть підтримуваний реліз та шлях оновлення для свого обладнання: це мінімальні виправлені версії, а не твердження, що кожна з них є найновішою. [1] [4]

• 7.0 та раніші: 7.0.10
• 7.2: 7.2.12
• 7.4: 7.4.8
• 7.6: 7.6.6
• 7.7: 7.7.13
• 10.0: 10.0.2
• 10.1: 10.1.0

Наведені вище винятки для продуктів стосуються CVE-2026-20316. Окремий бюлетень CVE-2026-20079 також називає SCC Firewall Management ураженим продуктом, але повідомляє, що Cisco вже виправила SaaS-середовище і дій користувача не потрібно. Звіряйте перелік для кожної CVE окремо. Жоден бюлетень не пропонує обхідного рішення, яке замінює виправлений реліз.

Як перевірити можливу експлуатацію

У CLI FMC перейдіть у режим expert з адміністративними правами для читання системних журналів і виконайте zgrep "package_info.*license" /var/log/messages*. Команда охоплює поточні та ротовані журнали повідомлень. Cisco вказує, що запис із запуском /usr/local/sf/bin/package_info.pl та шляхом /var/tmp/license.tmp може свідчити про експлуатацію.

Цей рядок — ознака для первинної перевірки, а не остаточний висновок. Його відсутність не доводить, що пристрій ніколи не був доступний зловмиснику, а наявність не дає підстав приписувати атаку конкретній групі. Збережіть журнали до змін і зверніться до Cisco TAC, якщо ознака присутня або виявлено інший підозрілий доступ.

Що робити адміністраторам

1. Інвентаризуйте всі Secure FMC. Запишіть локальну версію, доступність інтерфейсу керування і перелік керованих міжмережевих екранів.
2. Обмежте адміністративний доступ. Приберіть прямий доступ з інтернету та залиште довірену адміністративну мережу на час оновлення.
3. Збережіть і перевірте журнали. Шукайте /var/tmp/license.tmp та збережіть дані автентифікації, змін конфігурації та мережеву телеметрію навколо підозрілих подій.
4. Установіть відповідний випуск із посиленим захистом. Звірте актуальний бюлетень Cisco та підтримуваний шлях оновлення, потім перевірте встановлену версію.
5. Ескалюйте підозру на компрометацію. Зверніться до Cisco TAC. Виконайте рекомендації TAC щодо відновлення, перш ніж знову довіряти пристрою. Оцініть можливий витік облікових даних, ключів і сертифікатів; замінюйте скомпрометовані секрети з довіреного середовища.
6. Перевірте довіру до пов’язаних систем. Знайдіть неочікувані зміни політик, користувачів, сертифікатів, ключів, інтеграцій або керованих пристроїв. Оновлення не робить безпечними секрети, які могли скопіювати раніше.

Важливе уточнення: CVE-2026-20316 відкриває обліковий запис з обмеженими правами, а не є задокументованим однокроковим експлойтом для отримання root. Проте діяти треба терміново, бо FMC містить чутливі дані керування, а отриманий доступ можна поєднати з іншими вразливостями.

Схожі сценарії реагування описано для експлуатованої вразливості Cisco Catalyst SD-WAN та CVE-2026-16812 у VeloCloud Orchestrator.

Джерела

1. Cisco Product Security Incident Response Team. «Cisco Secure Firewall Management Center Software Static Credential Vulnerability». Cisco Security Advisory, 29 липня 2026 року; оновлено 16 вересня. бюлетень і виправлені релізи.
2. Cybersecurity and Infrastructure Security Agency. «CISA Adds One Known Exploited Vulnerability to Catalog». CISA, 29 липня 2026 року. повідомлення KEV.
3. Cisco Talos. «Активна експлуатація вразливостей Cisco Secure Firewall Management Center». 9 вересня 2026 року; оновлено 10 вересня. дослідження трьох груп вторгнень.
4. Cisco PSIRT. «Вразливість обходу автентифікації у Cisco Secure Firewall Management Center». Оновлено 16 вересня 2026 року; переглянуто 20 вересня. бюлетень CVE-2026-20079.